搜索

[562] 2017-09-29_OWASPTop10之未受保护的API

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2017-09-29_OWASPTop10之未受保护的API O W A S P   T o p   1 0 之 未 受 保 护 的 A P I A r k T e a m   2 0 1 7 - 0 9 - 2 9 作 者 ： { P o s e i d o n ,   p a v 1 }   @ A r k T e a m O W A S P   T o p   1 0   –   2 0 1 7 中 首 次 将 " 未 受 保 护 的 A P I " （ U n d e r p r o t e c t e d   A P I s ） 纳 入 列 表 ， 可 见 A P I 安 全 的 重 要 性 。 下 面 分 享 一 个 A P I 安 全 的 相 关 案 例 。 W o r d P r e s s 4 . 7 . 0 与 4 . 7 . 1 版 本 中 存 在 一 个 由 R E S T   A P I 导 致 的 安 全 漏 洞 ， 该 漏 洞 导 致 W o r d P r e s s 所 有 文 章 内 容 未 经 授 权 验 证 即 可 被 修 改 。 整 个 漏 洞 的 分 析 与 利 用 过 程 为 ： 1 . A P I 接 口 / w p - j s o n / w p / v 2 / p o s t s / 1 中 的 最 后 一 个 值 为 帖 子 I D 值 ， 受 正 则 保 护 必 须 为 纯 数 字 （ 图 1 所 示 ） ， 如 果 尝 试 使 用 / w p - j s o n / w p / v 2 / p o s t s / 1 a 等 形 式 请 求 则 提 示 帖 子 I D 异 常 。 图 1   文 章 I D 值 受 正 则 保 护 2 . 审 计 发 现 代 码 在 实 际 处 理 过 程 中 优 先 使 用 G E T 或 P O S T 参 数 中 传 入 的 I D 值 ， 因 此 可 以 绕 过 正 则 保 护 ， 输 入 自 定 义 的 非 纯 数 字 I D 值 。 即 通 过 形 如 / w p - j s o n / w p / v 2 / p o s t s / 1 2 3 4 ? i d = 1 2 3 4 5 h e l l o w o r l d 的 方 式 进 行 请 求 ， 此 时 I D 值 为 1 2 3 4 5 h e l l o w o r l d 。 3 . 进 一 步 审 计 关 于 修 改 帖 子 的 代 码 以 及 其 权 限 检 查 代 码 （ 图 2 所 示 ） ， 发 现 一 旦 $ p o s t 值 为 f a l s e 即 可 绕 过 权 限 的 检 查 。 图 2   修 改 帖 子 的 权 限 检 查 相 关 代 码 4 . 进 一 步 审 计 g e t _ p o s t 函 数 ， 其 中 使 用 了 g e t _ i n s t a n c e 函 数 获 得 帖 子 ， 而 从 该 函 数 的 具 体 实 现 （ 图 3 所 示 ） 分 析 可 知 ， 如 果 I D 值 是 数 字 字 母 组 合 的 形 式 则 会 返 回 f l a s e 。 综 合 可 得 ， 通 过 上 述 形 式 的 请 求 即 可 绕 过 相 关 的 权 限 检 测 ， 进 而 执 行 帖 子 的 修 改 。 图 3   g e t _ i n s t a n c e 函 数 相 关 代 码 5 . 最 后 关 键 一 步 ， 在 检 查 完 权 限 后 即 进 入 修 改 帖 子 的 逻 辑 （ 图 4 所 示 ） ， 此 时 同 样 会 使 用 g e t _ p o s t 函 数 来 获 得 帖 子 ， 然 而 在 此 处 的 I D 值 先 被 进 行 了 一 次 i n t 转 型 处 理 。 在 P H P 的 i n t 转 型 处 理 中 ， 数 字 + 字 母 组 合 最 终 只 会 保 留 最 开 始 的 一 段 连 续 数 字 值 （ 图 5 所 示 ） 。 所 以 在 该 函 数 中 即 使 输 入 的 I D 值 不 是 纯 数 字 也
能 找 到 对 应 的 帖 子 。 图 4   修 改 帖 子 相 关 代 码 图 5   P H P 中 的 i n t 转 型 处 理 6 . 整 个 过 程 既 实 现 了 正 则 与 权 限 检 查 的 绕 过 ， 同 时 也 能 正 确 地 找 到 对 应 得 帖 子 进 行 修 改 。 本 文 案 例 仅 仅 是 冰 山 一 角 ， 现 代 的 应 用 常 常 涉 及 富 客 户 端 应 用 程 序 和 A P I ， 比 如 浏 览 器 和 移 动 A p p 中 的 J a v a S c r i p t ， 连 接 到 其 他 某 种 A P I （ S O A P / X M L 、 R E S T / J S O N 、 R P C 、 G W T 等 ） ， 研 发 人 员 与 安 全 人 员 都 应 对 A P I 予 以 足 够 的 重 视 以 及 采 取 正 确 的 保 护 措 施 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理